[發(fā)明專利]一種web異常流量檢測方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請?zhí)枺?/td>: 202110972269.6
• 申請日: 2021-08-24
• 公開（公告）號: CN113726756A
• 公開（公告）日: 2021-11-30
• 發(fā)明（設(shè)計(jì)）人: 陳偉;潘桐;吳禮發(fā)
• 申請（專利權(quán)）人: 南京郵電大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N20/00;G06N3/00
• 代理公司: 南京縱橫知識(shí)產(chǎn)權(quán)代理有限公司 32224
• 代理人: 董建林

本發(fā)明公開了一種web異常流量檢測方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)，所述方法包括：將獲取的待測流量數(shù)據(jù)輸入預(yù)先訓(xùn)練好的檢測模型，以獲取待測流量數(shù)據(jù)對應(yīng)的評分值，若評分值小于預(yù)設(shè)閾值，則判定為異常流量；所述檢測模型包括集成學(xué)習(xí)模型和評分卡模型，所述待測流量數(shù)據(jù)經(jīng)所述集成學(xué)習(xí)模型處理后輸入評分卡模型，所述評分卡模型輸出評分值。本發(fā)明用于實(shí)現(xiàn)快速準(zhǔn)確地檢測網(wǎng)絡(luò)中的異常流量數(shù)據(jù)。

技術(shù)領(lǐng)域

本發(fā)明涉及一種web異常流量檢測方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)，屬于網(wǎng)絡(luò)異常流量檢測與防御技術(shù)領(lǐng)域。

背景技術(shù)

隨著網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，網(wǎng)絡(luò)每天都會(huì)產(chǎn)生數(shù)億兆級別的流量，現(xiàn)在絕大多數(shù)的網(wǎng)絡(luò)攻擊行為都會(huì)或多或少的產(chǎn)生網(wǎng)絡(luò)流量，所以對網(wǎng)絡(luò)中流量的進(jìn)行檢測可以定位出異常流量，阻斷攻擊，因此，網(wǎng)絡(luò)流量檢測關(guān)系著網(wǎng)絡(luò)安全和用戶隱私等諸多安全。

現(xiàn)有的防護(hù)手段是在WAF(Web Application Firewall)上依靠正則匹配，匹配準(zhǔn)確率和效率很高，但需要人為指定每一類攻擊的規(guī)則，攻擊的特征改變，檢測規(guī)則也需要及時(shí)改變，所需人力成本高。

發(fā)明內(nèi)容

本發(fā)明的目的在于克服現(xiàn)有技術(shù)中的不足，提供一種web異常流量檢測方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)，用于實(shí)現(xiàn)快速準(zhǔn)確地檢測網(wǎng)絡(luò)中的異常流量數(shù)據(jù)。

第一方面，本發(fā)明了提供一種web異常流量檢測方法，包括：

將獲取的待測流量數(shù)據(jù)輸入預(yù)先訓(xùn)練好的檢測模型，以獲取待測流量數(shù)據(jù)對應(yīng)的評分值，若評分值小于預(yù)設(shè)閾值，則判定為異常流量；其特征在于，所述檢測模型包括集成學(xué)習(xí)模型和評分卡模型，所述待測流量數(shù)據(jù)經(jīng)所述集成學(xué)習(xí)模型處理后輸入評分卡模型，所述評分卡模型輸出評分值。

可選的，所述集成學(xué)習(xí)模型的訓(xùn)練包括：

獲取歷史流量數(shù)據(jù)，提取數(shù)據(jù)特征集；

基于數(shù)據(jù)特征集對神經(jīng)網(wǎng)絡(luò)模型進(jìn)行訓(xùn)練，獲得所述集成學(xué)習(xí)模型。

可選的，所述集成學(xué)習(xí)模型的包括隨機(jī)森林模型和XGBOOST模型。

可選的，所述評分卡模型輸出的評分值表示為：

Score＝S₀-kln(o)＝S₀-k(β₀+β₁x₁+...+β_nx_n)

其中，S₀表示初始分?jǐn)?shù)，k為系數(shù)，o表示事件發(fā)生概率和不發(fā)生概率比值，x_i(1≤i≤n)表示每個(gè)樣本，β_i(1≤i≤n)表示激活函數(shù)的參數(shù)。

第二方面，一種web異常流量檢測裝置，包括：

數(shù)據(jù)獲取單元，用于獲取流量數(shù)據(jù)包；

數(shù)據(jù)評分單元，用于輸出數(shù)據(jù)評分值；

數(shù)據(jù)處理單元，用于判定并處理流量數(shù)據(jù)包；

其中，所述數(shù)據(jù)評分單元包括集成學(xué)習(xí)模型和評分卡模型，所述待測流量數(shù)據(jù)經(jīng)所述集成學(xué)習(xí)模型處理后輸入評分卡模型，所述評分卡模型輸出評分值。

可選的，所述數(shù)據(jù)獲取單元的數(shù)據(jù)獲取包括以下步驟：

從配置中心獲取配置，提取流量特征；

根據(jù)流量特征，從網(wǎng)絡(luò)中抓取流量數(shù)據(jù)包；

將抓取的流量數(shù)據(jù)包鏡像傳輸給數(shù)據(jù)評分單元。

可選的，所述數(shù)據(jù)處理單元處理數(shù)據(jù)包括以下步驟：